Co to znaczy bezpieczny e-biznes?

Podstawowe znaczenie ma zapewnienie bezpieczeństwa przesyłanych danych przez sieć transmisji danych (np. Internet). Dlatego też kluczową sprawą jest zapewnienie poufności danych przed wprowadzeniem ich do sieci, bowiem później podejmowane przedsięwzięcia w zakresie bezpieczeństwa danych już nie na wiele się zdadzą. Po zapewnieniu bezpieczeństwa dialogu między stronami transakcji należy zapewnić możliwość weryfikacji ich tożsamości, nim rozpoczną zawieranie transakcji. Innym często spotykanym problemem, znacznie trudniej rozwiązywalnym, jest problem tzw. uchylania się od zobowiązań, dotyczący w równej mierze każdej ze stron e-biznesu. Ponieważ problem ten dotyka prawa lokalnego i międzynarodowego, gdy strony uczestniczące w e-biznesie są ulokowane w różnych krajach, więc nie ma jednolitych i jasno skodyfikowanych postanowień odnośnie np. udowodnienia przez jedną ze stron, iż druga strona nie dotrzymała warunków transakcji lub działała od początku w złej wierze.

Jednym z czynników kształtujących zaufanie klienta do e-biznesu jest dostępność do otoczenia elektronicznego e-biznesu, tj. systemu stanowiącego podstawę techniczną realizacji tego biznesu. Brak dostępu do systemu oznacza, że żaden klient ani dostawca nie są w stanie dotrzeć do firmy, aby przeprowadzić transakcję. Za najważniejsze działania, które należy podejmować w celu uniknięcia braku dostępności lub zmniejszenia jej skutków, szczególnie dla klienta, należy uznać następujące:

-zmniejszenie liczby danych przesyłanych w sieci, niezbędnych dla zawarcia transakcji,

-zapewnienie priorytetowej dostępności sieci dla danych dotyczących płatności i innych operacji finansowych wynikających z transakcji zawieranych między stronami e-biznesu,

-zapewnienie komunikacji między stronami e-biznesu w czasie rzeczywistym,

-zapewnienie dostępności przez całą dobę.

Mówimy o bezpieczeństwie, gdy spełnione są warunki:

Integralności (niezmienność danych - komunikujące się musza wiedzieć czy i kiedy wymieniane między nimi dane zostały sfałszowane, jeżeli taki fakt miał miejsce),

Poufności (ochrona informacji przed nieautoryzowanym ich ujawnianiem),

Niezaprzeczalności (można udowodnić pochodzenie lub fakt dostarczenia danych),

Uwierzytelniania (proces weryfikacji tożsamości komunikujących się

Obszary szczególnego ryzyka

Zagrożenia dla transmisji danych.

Zagrożenia dla autoryzacji.

Zagrożenia dla dostępności.

Zagrożenia dla płatności.

BEZPIECZNE TECHNOLOGIE

Hasło, PIN Hasło (lub nr PIN) są podstawowymi mechanizmami stosowanymi dla zapewnienia bezpieczeństwa. Stosowane bez dodatkowych mechanizmów nie dają zadawalającego poziomu bezpieczeństwa, gdyż istnieje wiele metod, które pozwalają obejść takie zabezpieczenie, np. sniffing, konie trojańskie (głównie key loggery).

SSL (Secure Socket Layer) został zaprojektowany przez firmę Netscape. Działa on wraz z protokołami warstwy aplikacji (takimi jak HTTP, Telnet, NNTP i FTP), a także z protokołem TCP/IP. Protokół SSL (w wersji 3.0) umożliwia:

-szyfrowanie danych, -potwierdzanie tożsamości serwera, -zapewnianie integralności przesyłanych komunikatów, -potwierdzanie tożsamości komputera typu klient w połączeniach realizowanych za pomocą protokołu TCP/IP. SSL jest protokołem otwartym, nie należącym do żadnej instytucji. Firma Netscape zezwoliła przedsiębiorstwom i pojedynczym osobom na korzystanie z niego w aplikacjach internetowych. Ponadto rozwiązanie to zostało zaprezentowane komisji ds. bezpieczeństwa należącej do organizacji W3C (W3 Consortium).

SSL-Komunikacja

Przeglądarka nawiązując połączenie z bezpiecznym serwerem wysyła do niego komunikat Client.Hello, który jest interpretowany jak żądanie połączenia HTTP.

Oprócz tego, przeglądarka wysyła unikatowy klucz publiczny, wygenerowany w momencie instalowania jej w komputerze. Na rysunku został przedstawiony komunikat Client.Hello.

Po otrzymaniu komunikatu Client.Hello serwer analizuje dane w nim zawarte. Jeśli przeglądarka i serwer stosują ten sam rodzaj mechanizmu szyfrowania i takie same protokoły SSL, to serwer wysyła odpowiedź (komunikat Server.Hello) zaszyfrowaną za pomocą klucza publicznego komputera-klienta. Odpowiedź zawiera klucz publiczny serwera i informacje o połączeniu ustanowionym przez serwer. Na rysunku przedstawiono odpowiedź serwera Server.Hello.

Po otrzymaniu odpowiedzi Server.Hello komputer-klienta wysyła kolejne żądanie do serwera zaszyfrowane za pomocą klucza publicznego serwera. Komunikat ten zawiera dodatkowe informacje o parametrach połączenia oraz żądanie przesłania klucza sesji. Będzie on używany przez obydwie strony podczas wymiany informacji. W odpowiedzi serwer wysyła klucz sesji zaszyfrowany kluczem publicznym komputera-klienta. Rysunek przedstawia odpowiedź serwera na żądanie komputera-klienta.

SSL nie należy traktować w kategorii jednolitego algorytmu szyfrującego. Jest to zestaw algorytmów, technik i pewnych schematów używanych do uzyskania bezpieczeństwa.

SSL wykorzystuje znane algorytmy szyfrowania:

• symetryczne,

• asymetryczne.

SSL-KRYPTOLOGIA

Szyfrowanie symetryczne - do szyfrowania i deszyfrowania danych używany jest ten sam klucz albo klucz deszyfrujący da się bezpośrednio wyprowadzić z klucza szyfrującego. Znajomość klucza służącego do zakodowania wiadomości umożliwia także jej odczytanie

Podstawowe algorytmy symetryczne to DES, DESX, 3DES, IDEA, RC2, RC4, RC5.

Szyfrowanie asymetryczne (z kluczem publicznym) - używany jest odmienny klucz do szyfrowania i deszyfrowania, a klucza deszyfrującego nie da się wyprowadzić z klucza szyfrującego. Klucz szyfrujący jest zwykle udostępniany publicznie tak, iż każdy może zakodować informację, jednak jej odczytanie możliwe jest jedynie przez adresata, który posiada odpowiedni klucz deszyfrujący - nie ujawniany.

Podstawowe algorytmy symetryczne to RSA, RSAREF, Diffie-Hellman, algorytmy krzywych eliptycznych, DSA, ElGamal, LUC.

Token jest urządzeniem kryptograficznym, pozwalającym na składanie podpisów elektronicznych. Urządzenie, wyglądem przypominające zwykły kalkulator lub niewielki breloczek, wyświetla na małym ekranie ciekłokrystalicznym niepowtarzalne ciągi liczb lub liter. Ciąg znaków wygenerowany przez token użytkownik wprowadza do systemu. Na ogół taki ciąg znaków jest ważny tylko przez krótki okres czasu (np. minutę).

Token może także spełniać rolę podpisu elektronicznego i wtedy musi zawierać odpowiedni algorytm szyfrujący.

Token jest spersonalizowany i może być użyty tylko dla konta, dla którego został wydany.

Banki wydają trzy rodzaje tokenów, które służą ich klientom do logowania się w systemie oraz do potwierdzania operacji.

Token DigiPass 300 jest urządzeniem szyfrującym dane. Stosuje się go na zasadzie pytanie/odpowiedź. Token ten jest wyposażony w cyfrową klawiaturę oraz wyświetlacz ciekłokrystaliczny. Token jest wielkości małego kalkulatorka. Dostęp do niego jest dodatkowo chroniony przez 6-cyfrowy PIN. Token posiada również złącze na podczerwień, za pomocą którego jest on wstępnie programowany przez bank.

Karty kodów stosowane na przykład w Inteligo i m-Banku mają zapewnić wysoki poziom bezpieczeństwa transakcji. Metoda ta polega na losowym wygenerowaniu dla każdego z klientów listy haseł które będą wykorzystane np. przy autoryzacji transakcji. Lista haseł mieści się na serwerze danego banku, druga taką samą listę posiada klient w postaci karty kodów.

Podpis elektroniczny

W transakcjach dokonywanych za pomocą komputera podpis elektroniczny jest niezaprzeczalnym dowodem jej wykonania przez konkretną osobę. Podpis elektroniczny musi spełniać te same warunki co podpis odręczny, tzn. powinien być trudny lub niemożliwy do podrobienia, umożliwiać weryfikację i na trwałe łączyć się z dokumentem.

Praktyczne formy podpisów elektronicznych stały się dostępne dzięki rozwojowi kryptografii z kluczem publicznym i polegają na dołączeniu do dokumentu skrótu, zaszyfrowanego kluczem prywatnym strony podpisującej. Bezpieczny podpis cyfrowy jest bardziej wiarygodny od podpisu ręcznego złożonego w placówce banku.

Karty kodów stosowane na przykład w Inteligo i m-Banku mają zapewnić wysoki poziom bezpieczeństwa transakcji. Metoda ta polega na losowym wygenerowaniu dla każdego z klientów listy haseł które będą wykorzystane np. przy autoryzacji transakcji. Lista haseł mieści się na serwerze danego banku, druga taką samą listę posiada klient w postaci karty kodów.

Po uzyskaniu połączenia z serwisem WWW danego banku, klient proszony jest o wprowadzenie kolejnego hasła z listy dostępnych haseł. Ważna jest kolejność ich wprowadzania. Po wykorzystaniu jednego z haseł, przy kolejnym zapytaniu wprowadzamy następny jeszcze nie wykorzystany. Kiedy karta zostanie zużyta, unieważniona (w przypadku jej kradzieży) bank generuje kolejną listę dla użytkownika (klienta).

Certyfikaty cyfrowe to strukturalne dokumenty kojarzące z kluczem publicznym pewien zbiór informacji i zaopatrzone w podpis cyfrowy zaufanej strony trzeciej, nazywanej Instytucją Certyfikującą - CA (Certification Authority).

Certyfikat składa się z następujących elementów:

• nazwa właściciela certyfikatu,

• nazwa wydawcy certyfikatu,

• klucz publiczny właściciela dla algorytmu asymetrycznego,

• cyfrowy podpis wystawcy certyfikatu (np. Verisign lub Thawte)

• okres ważności,

• numer seryjny (fingerprint - „odcisk palca”).

TECHNIKI WŁAMAŃ

Najpopularniejsze techniki włamań:

• Spoofing IP,

• Spoofing WWW,

• Keylogery, konie trojańskie,

• Sniffing,

• Inżynieria społeczna.

Spoofing IP

Mechanizm spoofingu polega na opatrzeniu wysyłanego zapytania innym adresem IP, który będzie zidentyfikowany przez atakowany system jako należący do zaufanych adresów, którym udzielane jest połączenie. Istotą dziury jest oszukanie uproszczonego mechanizmu autentykacji zachodzącego pomiędzy maszynami przekazującym między sobą pakiety.

Spoofing WWW jest realizowany w warstwie aplikacji, w protokole HTTP. Polega na dostarczeniu fałszywych kopii stron WWW wyglądających jak prawdziwe. Cała komunikacja pomiędzy ofiarą a siecią WWW odbywa się za pośrednictwem atakującego. Istnieje kilka metod skierowania zapytania o określoną stronę WWW do innego serwera. Pierwszą, najbardziej oczywistą metodą jest użycie spoofingu DNS (Domain Name System - system nazw domenowych), tj. systemu serwerów oraz protokołów komunikacyjnych, zapewniających zamianę adresów znanych użytkownikom Intrnetu na adresy zrozumiałe dla urządzeń tworzących sieć komputerową

Keyloger jest programem, który może zostać zainstalowany na komputerze ofiary i działający w tle jako usługa. Jego praca jest wtedy niewidoczna przez zwykłego użytkownika. Głównym celem programu jest przechwytywanie wszelkich kombinacji znaków wprowadzonych z klawiatury. W przypadku ogólnodostępnych stanowisk internetowych istnieje duże prawdopodobieństwo, że w tle działa zainstalowany keyloger i przechwytuje ciągi znaków wprowadzane przez użytkownika. Dane te mogą być zapisywane w postaci pliku na dysku lokalnym, bądź przesyłane przy użyciu poczty elektronicznej.

Sniffing jest jedną z najbardziej skutecznych technik przechwytywania danych, a zarazem działając w pełni pasywnie - bardzo trudną do wykrycia. Jest to metoda posłuchu elektronicznego pozwalająca przechwycić wszystkie dane przesyłane w danym segmencie sieci.

Co w praktyce może przechwycić sniffer?:

treść dowolnej strony WWW wykorzystującej protokół HTTP (formularze, korespondencję elektroniczną, identyfikatory, hasła itp.). Konta pocztowe udostępniane z serwisu WWW np. poczta.onet.pl wykorzystują bezpieczne połączenie tylko do uwierzytelniania połączenia. ·Nazwa użytkownika oraz hasło treść danych wykorzystywanych przez protokoły POP2, POP3,

korespondencję wysyłaną przez protokół SMTP,

treść zdalnej sesji TELNET.

Czego sniffer nie podsłucha?

danych przesyłanych przy użyciu protokołu SSL,

zdalnej sesji z wykorzystaniem narzędzi SSH,

treści stron WWW oznaczonych prefiksami https:// shttp://

ZARZĄDZANIE BEZPIECZEŃSTWEM w e-biznesie polega na zastosowaniu odpowiednich środków i metod ochrony (kontroli) zapobiegawczej w różnych etapach procesu e-biznesu. Jednak przed wprowadzeniem środków bezpieczeństwa do ochrony e-biznesu należy zapewnić podstawowy poziom bezpieczeństwa w środowisku sieciowym, wykorzystywanym przez ten e-biznes (będzie to najczęściej sieć Internetu).

Zasadnicze czynności związane z zarządzaniem bezpieczeństwem w e-biznesie obejmują:

• strategiczne planowanie,

• analizę ryzyka,

• politykę bezpieczeństwa,

• tworzenie zabezpieczeń,

• monitorowanie bezpieczeństwa.

Strategiczne planowanie jest pierwszym krokiem, który należy wykonać zanim zostanie uruchomiony e-biznes. Na ogół organizacja wprowadzająca e-biznes ma tendencję do wpadania w gorączkę przeduruchomieniową. Często wyklucza ona racjonalność myślenia i uniemożliwia wszechstronny ogląd zagrożeń, które mogą towarzyszyć

e-biznesowi, a ten wymaga przede wszystkim jasnego i precyzyjnego określenia produktu, wnikliwej kalkulacji opłacalności, prognozy działań potencjalnych konkurentów oraz oceny wpływu podejmowanego e-biznesu na inne procesy biznesowe i pomocnicze w organizacji.

Analiza ryzyka polega na określeniu wszystkich możliwych naruszeń bezpieczeństwa e-biznesu, prawdopodobieństwa ich wystąpienia i oszacowaniu dla każdego z nich wielkości strat, których może przysporzyć. Oszacowana wielkość strat jest podstawą do kalkulowania kosztów ewentualnych zabezpieczeń. Jeżeli, na przykład, ryzyko nieuzyskania zapłaty zostało ocenione jako wysokie i najbardziej prawdopodobne, to wprowadzenie kosztownych zabezpieczeń przed tego rodzaju ryzykiem może być opłacalne.

Polityka bezpieczeństwa Po przeprowadzeniu analiza ryzyka powinno nastąpić opracowanie i przyjęcie polityki bezpieczeństwa. Polityka bezpieczeństwa musi być przyjęta wcześniej zanim zostanie wdrożony system e-biznesu. Powinna ona zawierać wymagania dotyczące ochrony poszczególnych procesów składowych e-biznesu. Musi także uwzględniać uwarunkowania techniczne i organizacyjne sieci transmisji danych (np. Internetu) oraz obowiązujące uwarunkowania prawne, dotyczące zarówno samego e-biznesu, jak również ochrony prywatności klienta, a przede wszystkim jego danych osobowych oraz danych dotyczących konta, wielkości zawieranych transakcji itp.

Tworzenie zabezpieczeń jest to proces fizycznej i organizacyjnej realizacji rozwiązań dotyczących bezpieczeństwa, ujętych w polityce bezpieczeństwa. Tworzenie zabezpieczeń powinno obejmować wdrożenie ochrony:

• klienta,

• transmisji danych,

• systemów płatności.

Powinno także obejmować budowanie zaufania klienta do systemu ochrony.

Monitorowanie bezpieczeństwa jest proces, który powinien być prowadzony w sposób ciągły, ale również i taki, który nie spowoduje dodatkowych uciążliwości dla klienta. Bardzo często proces ten jest marginalizowany w praktyce, gdyż jest kosztowny, a z drugiej strony właściciel e-biznesu na ogół ma przekonanie (nie wiedzieć czemu) o tym, że wdrożone już rozwiązania ochronne na podstawie dobrze opracowanej polityki bezpieczeństwa będą wystarczająco dobre w każdej sytuacji.

Zapewnia: rozpoznawanie słabych stron wdrożonego systemu ochrony,

możliwie najszybszą reakcję samej organizacji prowadzącej e-biznes na zawodne funkcjonowanie systemy bezpieczeństwa,

przystosowywanie organizacji do prowadzenia e-biznesu w zmieniających się warunkach otoczenia.

---